一、为什么现在就要行动：先收割，后解密
保护AI系统的整个密码学基础设施——API调用的TLS、模型权重加密、软件供应链签名——都依赖量子计算机终将解决的数学难题。
Shor算法在足够强大的量子计算机上运行时，能以指数级速度分解大整数并求解离散对数问题。RSA加密依赖整数分解难度，椭圆曲线密码依赖椭圆曲线离散对数难度，两者在量子计算机上都可在多项式时间内求解。国际算法中的RSA、ECC、ECDH，国密算法中的SM2、SM9，均基于同类数学难题，因此面临同等的量子威胁。
“先收割，后解密”威胁让迁移在量子计算机达到密码学相关性之前就已紧迫。国家级对手和高级威胁行为者今天就在拦截并存储加密通信，预期量子计算最终能解密。对AI系统而言，这意味着通过当前TLS连接传输的加密训练数据、模型权重和专有系统提示，可能现在被捕获，等量子计算机可用时再解密。
二、国际与国密算法体系的量子威胁评估
国际算法
RSA / ECC / ECDH / ECDSA：Shor算法完全攻破，面临生存性威胁，必须优先迁移。
AES-256：Grover算法使有效安全强度减半至约128位，仍计算上不可行，不需要紧急迁移。AES-128等效64位，高安全场景需关注。
SHA-2 / SHA-3：Grover影响有限，256位输出仍提供128位量子安全。
国密算法
SM2（椭圆曲线公钥密码）：基于椭圆曲线离散对数问题，Shor算法完全攻破。SM2的192位密码强度高于RSA 2048位，但量子攻击下这一优势不再成立，必须迁移。
SM9（标识密码）：基于椭圆曲线双线性对，Shor算法同样完全攻破。
SM4（分组对称密码）：128位密钥在Grover下等效64位安全，一般数据保护可接受，高安全场景建议增大密钥空间或迁移。
SM3（密码杂凑）：256位输出在Grover下等效128位安全，仍计算上不可行，但长期保密数据需关注。
三、国际后量子密码标准化进展
2024年8月，NIST正式发布三项后量子密码标准，这是全球迁移的基准：
FIPS-203（ML-KEM）：基于模块格的密钥封装机制，替代RSA和ECDH密钥交换。ML-KEM-768的封装密钥1184字节、密文1088字节，远大于RSA-2048的294字节公钥和256字节密文。
FIPS-204（ML-DSA）：基于模块格的数字签名算法，替代RSA和ECDSA签名。ML-DSA-65签名3293字节，验证密钥1952字节。
FIPS-205（SLH-DSA）：无状态基于哈希的数字签名算法，提供保守的替代方案，不依赖格数学。
CNSA 2.0：美国国家安全局为国家安全系统制定的算法套件，要求ML-KEM-1024和ML-DSA-87，2030年前完成迁移。
ISO/IEC已将ML-KEM、Classic McEleiece、XMSS、LMS等纳入其标准体系；IETF正在将PQC算法集成到TLS等核心互联网协议；ETSI发布了量子威胁评估、部署案例和迁移策略的技术报告。
四、中国后量子密码标准化进展
中国正在积极布局抗量子密码。商用密码标准研究院已启动新一代商用密码算法全球征集活动（NGCC），目标明确：为抵抗量子计算风险，同时满足AI等新技术新应用需求，研制新一代商用密码算法。
征集涵盖公钥密码算法、密码杂凑算法、分组密码算法三类。公钥算法要求至少支持128、256、512比特三种经典安全强度等级，对应量子安全强度分别不低于80、128、256比特。
最新进展：119个候选进入第一轮评估，包括34个签名方案、41个密钥封装机制、9个密钥交换协议、35个哈希函数。第一周评估即发现191个有效漏洞，其中78个被评为严重。这体现了NGCC对安全性的严格要求。
预计2027年6月完成评估，新一代密码族系的轮廓正在显现。
五、迁移策略：国际与国密双轨并行
核心原则：密码敏捷性与混合部署
密码敏捷性——在不重新设计系统的情况下替换算法——是首要准备策略。对国内系统，“国际PQC + 国密 + 后量子”的多元混合体系是最务实的路径。
混合部署（Hybrid）：在同一次TLS 1.3握手中同时协商经典算法与后量子算法，两者共享密钥经KDF组合。Cloudflare和Google已在生产环境部署X25519-MLKEM768混合密钥交换，保护TLS连接。
优先级排序
最高优先级：非对称加密（RSA、ECC、SM2、SM9）。Shor算法完全攻破，面临生存性威胁。API传输安全（TLS密钥交换）、代码签名、API认证令牌、密钥封装必须优先迁移。
中等优先级：哈希算法（SHA-2、SM3）。Grover使有效强度减半，长期保密数据应考虑增强。
较低优先级：对称加密（AES、SM4）。Grover影响有限，一般数据保护可接受，高安全场景需增大密钥。
三阶段落地路线
第一阶段（2026-2030）：密码资产台账 + 混合过渡。扫描定位量子脆弱点。在TLS层部署混合握手，同时协商经典算法与后量子算法。注意后量子签名体积较RSA签名膨胀数十倍，高并发场景需硬件卸载。
第二阶段（2030-2035）：完全迁移。重建后量子PKI，升级HSM以支持新算法。退役仅经典路径和混合回退。
第三阶段：持续演进。跟踪NGCC征集结果，待中国后量子标准发布后，将国密算法平滑升级到新一代抗量子版本。
六、真实案例
案例一：NIST 2024年后量子标准发布
2024年8月，NIST正式发布FIPS-203（ML-KEM）、FIPS-204（ML-DSA）、FIPS-205（SLH-DSA）。这是全球后量子密码迁移的里程碑，为组织提供了具体的算法替换目标。
案例二：Cloudflare与Google混合密钥交换部署
Cloudflare于2022年默认启用X25519MLKEM768混合密钥交换，截至2025年10月超过50%的人类发起流量使用PQC。Google在Chrome和QUIC协议中集成混合密钥交换。
案例三：SM2/3/9成为ISO/IEC国际标准
我国SM2、SM3、SM9密码算法正式成为ISO/IEC国际标准，标志着国密算法体系获得国际认可，为“国密+PQC”混合部署提供了标准化基础。
案例四：NGCC首轮评估发现严重漏洞
NGCC第一周评估发现191个有效漏洞，78个严重，包括通用伪造、签名密钥恢复、哈希碰撞等。这证明中国后量子算法征集正在严格筛选真正安全的候选方案。
案例五：HAWK算法因AI发现漏洞被撤回
2026年7月，AI模型发现格基签名算法HAWK的漏洞，该算法随后从NIST标准化考虑中撤回。这印证了后量子算法本身也需要持续的安全评估，混合部署的回退机制至关重要。
七、给开发与安全人员的行动清单
立即启动密码资产清单。映射系统中每个算法（RSA、ECC、AES、SM2、SM3、SM4、SM9）的使用位置、密钥长度和协议版本。
区分优先级。非对称加密（RSA/ECC/SM2/SM9）面临生存威胁，必须优先迁移；对称加密相对不急但需关注密钥长度。
API传输安全排第一。TLS密钥交换是最高优先级，使用混合经典+后量子算法过渡。
代码签名排第二。签名被攻破意味着恶意模型可注入部署流水线。
采用混合部署。过渡期经典与后量子并行，避免新算法潜在弱点导致通道裸奔。
将量子就绪纳入治理仪表盘。不是独立项目，而是现有合规路线图的组成部分。
关注长期保密数据。“先收割，后解密”追溯适用，历史通信同样暴露。
跟踪NGCC进展。中国后量子标准发布后，规划从国密系列向新一代算法的平滑升级。
制定多年计划。迁移以年计，分阶段：清单、评估、选型、混合、完全迁移。
八、结语
保护AI系统的密码学基础设施，正面临量子计算带来的生存性威胁。国际RSA/ECC与国密SM2/SM9同样无法逃脱Shor算法的数学破解。
但迁移路径已经清晰：国际有NIST标准，中国有NGCC征集，混合部署是当前最务实的过渡方案。“国际PQC + 国密 + 后量子”的多元体系，既能满足合规要求，又能实现真正的量子抗性。
核心只有一句话：量子计算机破译当前所有公钥密码只是时间问题，而迁移以年计——必须用混合部署和密码敏捷性，在威胁成为现实之前完成迁移。
